Uma startup de cibersegurança, a DepthFirst, utilizou um modelo de inteligência artificial de código aberto para fazer o que antes exigia semanas de trabalho manual: encontrar e explorar uma falha crítica no TikTok. Ao combinar vulnerabilidades identificadas pela IA em um componente do aplicativo, a equipe demonstrou ser capaz de acessar remotamente a câmera e o rolo de fotos de um smartphone. O problema foi comunicado à ByteDance, que confirmou e corrigiu a brecha.
O episódio, no entanto, é menos sobre o TikTok e mais sobre o novo campo de batalha da segurança digital. O caso serve como um estudo prático do uso dual da IA: uma ferramenta que pode automatizar a defesa de sistemas complexos, mas que, nas mãos erradas, também pode automatizar o ataque. A corrida armamentista entre hackers e defensores acaba de ganhar um acelerador exponencial.
A nova velocidade da vulnerabilidade
O diferencial da abordagem da DepthFirst foi o uso de um modelo de IA chinês (GLM, da Z.ai) que pode ser baixado e modificado livremente. Enquanto gigantes americanas como OpenAI e Anthropic impõem restrições de segurança em suas plataformas, modelos de código aberto democratizam o acesso a uma capacidade computacional antes restrita. O resultado é uma automação em massa da busca por brechas — o chamado bug hunting em escala industrial.
Essa aceleração tem dois lados. Para as empresas, é uma oportunidade de encontrar e corrigir falhas antes que sejam exploradas, como mostra um estudo da Unit 42 que encontrou mais de 14 mil vulnerabilidades não reportadas em projetos de código aberto. Para os atacantes, a barreira de entrada diminui drasticamente. Grupos ligados à inteligência russa, por exemplo, já usam IA para criar malwares que se adaptam a mecanismos de defesa, transformando uma operação que levaria dias em uma questão de horas.
O dilema do código aberto
O episódio do TikTok expõe a tensão crescente no ecossistema de IA. A abertura de modelos chineses contrasta com a postura mais cautelosa do Ocidente, criando uma assimetria. As ferramentas para o ataque se tornam amplamente disponíveis, enquanto as de defesa, muitas vezes, permanecem proprietárias e mais restritas. “É algo que me tira o sono”, afirmou Qasim Mithani, CEO da DepthFirst, em declaração ao The Washington Post.
Para usuários e empresas, a recomendação de manter aplicativos atualizados e limitar permissões ganha um novo senso de urgência. A superfície de ataque de qualquer software popular está, agora, sob o escrutínio constante e automatizado de IAs. A responsabilidade das plataformas em garantir a robustez de seu código nunca foi tão alta, pois as ferramentas para encontrar suas fraquezas nunca foram tão acessíveis.
O incidente não é um ponto fora da curva, mas um sinal dos tempos. A questão não é mais se a IA será usada para ataques cibernéticos em larga escala, mas a que velocidade os mecanismos de defesa conseguirão evoluir para neutralizar ameaças que operam na velocidade da máquina.
Com reportagem de Brazil Valley
Source · Olhar Digital
